🇰🇷 한글 설명
Gradio의 파일 경로 접근 제어 목록(ACL)에서 대소문자 구분 미비로 인해 보안 우회가 발생하는 취약점입니다. Windows나 macOS와 같이 대소문자를 구분하지 않는 파일 시스템에서 차단된 파일이나 디렉토리에 접근할 수 있어 민감한 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
파일 이름의 대소문자를 살짝 바꾸는 것만으로도 접근이 금지된 파일을 몰래 열어볼 수 있는 보안 구멍입니다. 이를 통해 원래는 볼 수 없어야 할 중요한 데이터가 유출될 수 있습니다.
🇺🇸 원문 (English)
Gradio is an open-source Python package that allows quick building of demos and web application for machine learning models, API, or any arbitrary Python function. Gradio's Access Control List (ACL) for file paths can be bypassed by altering the letter case of a blocked file or directory path. This vulnerability arises due to the lack of case normalization in the file path validation logic. On case-insensitive file systems, such as those used by Windows and macOS, this flaw enables attackers to circumvent security restrictions and access sensitive files that should be protected. This issue can lead to unauthorized data access, exposing sensitive information and undermining the integrity of Gradio's security model. Given Gradio's popularity for building web applications, particularly in machine learning and AI, this vulnerability may pose a substantial threat if exploited in production environments. This issue has been addressed in release version 5.6.0. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Gradio 5.6.0 미만 버전 (Windows 및 macOS 환경에서 특히 위험)
⚔️ 공격 벡터
차단된 파일 경로의 대소문자를 변경하여 ACL 검증 로직을 우회하는 방식
🛡️ 대응 방법
Gradio를 최신 버전인 5.6.0 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 5.6.0보다 낮으면 취약한 상태입니다.
pip show gradio | grep Version